Hub Sécurité

Objectif et carte du hub

Le Hub Sécurité est le parapluie de la sécurité opérationnelle : SOC (tri et gestion des alertes/incidents de sécurité), XDR (corrélation transverse aux domaines et threat hunting), gestion des vulnérabilités, PAM (Privileged Access Management), administration SecOps (SOAR : scoring, approbations, rollback) et reporting de sécurité. Les tickets de la zone (famille SOC-*) sont soumis à une confidentialité maximale : certains types (ex. SOC-INCIDENT) ne sont visibles que par les analystes SOC et le CISO du tenant.

Cette page traite de la page d’accueil, des consoles opérationnelles (SOC L1, XDR), du Vulnerability Cockpit, des cinq pages PAM et de la Console PAM, de SecOps Admin, du Security Report Center et de l’Agent Monitoring. GRC/ICC et les vues des directeurs SOC/XDR sont mentionnées mais décrites dans leurs pages respectives (GRC, risque, conformité et juridique, Cockpits et vues de direction, Customer Service, Enterprise Service et ICC).

Page d’accueil du Security Hub

À quoi elle sert. C’est le point d’entrée de la sécurité : elle regroupe les encadrés vers SOC, XDR, vulnérabilités, PAM, SecOps Admin, reporting et les zones liées (GRC, ICC).

Quand l’utiliser. Au début de la session de sécurité, pour choisir la zone sur laquelle travailler.

Comment l’ouvrir. Depuis la Home de Core (encadré Security Hub) ou depuis le Security Hub d’un autre contexte.

Ce qu’elle affiche. Les encadrés mènent à : SOC L1, XDR, Vulnérabilités, PAM, SecOps Admin, IT Security Report Center, KB du domaine SOC, GRC, ICC, Operations Cockpit dans le scope sécurité, Agent Control Tower dans le scope security, CMDB avec focus sécurité, ITOM avec focus sécurité et les vues des directeurs SOC/XDR/GRC/ICC.

Comment l’utiliser. Vous cliquez sur l’encadré de la zone souhaitée ; les encadrés visibles dépendent du rôle (profils SOC, XDR, SECHUB, etc.).

Ce qui se passe ensuite. Vous accédez à la page/console choisie avec le contexte propagé.

Remarques. La visibilité est particulièrement restreinte : de nombreux contenus exigent des rôles SOC/CISO.

SOC L1, tri des alertes de sécurité

À quoi elle sert. C’est la console opérationnelle du SOC : elle collecte les alertes des SIEM (via webhook) et en pilote le tri L1→L2→L3, jusqu’aux incidents confirmés. Elle utilise le même moteur de disposition que la console IT, avec le domaine SOC.

Quand l’utiliser. C’est le poste de l’analyste SOC pour le tri et la gestion des alertes et des incidents.

Comment l’ouvrir. Depuis la page d’accueil du Security Hub, encadré SOC L1.

Ce qu’elle affiche. La disposition à trois panneaux (file · détail · outils) avec actualisation automatique et filtres. La bande de KPI du L1 : Alertes actives, Triées dans la dernière heure, Taux de FP (faux positifs), SLA de tri, Escalades L2. Les actions rapides du L1 : M’assigner, Escalate L2, ✓ True Positive, False Positive.

Lors du passage aux tiers supérieurs (L2/L3, analyse/IR), les KPI et les actions changent : KPI Open cases, Breaches, Hunts actifs, PIR pending, IOC ingested ; actions Take over, Escalate L3, Isolate host, Block IOC, IR Playbook. Le tableau de bord des KPI SOC peut s’ouvrir dans une modale (« SOC L1 Dashboard »).

Comment l’utiliser. Vous triez les alertes (SOC-ALERT) en les classant comme True/False Positive ; une alerte confirmée est promue en SOC-INCIDENT (confidentialité maximale, PIR obligatoire) ; vous gérez les signalements de phishing (SOC-PHISH, qui peuvent aussi être ouverts depuis le portail utilisateur) et les alertes malware (SOC-MALWARE). Les actions de confinement (Isolate host, Block IOC) déclenchent les remédiations SOAR.

Ce qui se passe ensuite. « True Positive » lance l’escalade/l’incident ; « Isolate/Block » exécutent des actions de réponse (soumises aux barrières SOAR) ; chaque action est tracée et notifiée.

Remarques. Les actions de remédiation les plus sensibles (ex. execute_script) sont protégées par plusieurs barrières (voir SecOps Admin). La visibilité des incidents est restreinte au SOC/CISO.

XDR Ops

À quoi elle sert. L’XDR (eXtended Detection & Response) fournit la corrélation transverse des menaces et les outils de chasse proactive, de threat intelligence et de partage avec les éditeurs.

Quand l’utiliser. Pour l’analyse corrélée de signaux multi-sources, les campagnes de hunting, la gestion des IOC et les briefs exécutifs sur les menaces.

Comment l’ouvrir. Depuis la page d’accueil du Security Hub, encadré XDR.

Ce qu’elle affiche. Une console organisée en sous-vues (vue initiale : Correlation), chacune avec ses KPI, tableaux et onglets :

Sous-vue	Contenu
Correlation	Corrélation transverse des signaux
Threat Intel	IOC et intelligence (SOC-THREAT-INTEL : TLP, confidence, CVE, threat actor, échéance)
Unified Timeline	Chronologie unifiée des événements
Executive Brief	Synthèse exécutive de la menace
Escalation	Gestion des escalades
Lessons Learned	Leçons tirées après l’événement
Hunting Queries	Requêtes de threat hunting (SOC-THREAT-HUNT : hypothèse, technique)
Vendor Sharing	Partage avec les éditeurs/partenaires
Knowledge Base	Base de connaissances XDR
Threat Landscape	Panorama des menaces
Reports & Analytics	Rapports et analytics (module de reporting partagé, avec planification)

Comment l’utiliser. Vous naviguez entre les sous-vues ; vous corrélez les signaux, gérez les IOC et les campagnes de hunting, produisez briefs et rapports ; les constats d’Attack Surface Management (SOC-ASM) et les Security Cases (SOC-CASE, enquêtes qui regroupent plusieurs alertes/incidents/IOC via des liens entre tickets) sont traités ici.

Ce qui se passe ensuite. Les corrélations peuvent générer des incidents/cas ; les IOC confirmés alimentent les systèmes défensifs ; les rapports peuvent être planifiés.

Remarques. La vue Reports utilise le module de reporting partagé de la plateforme.

Vulnerability Cockpit

À quoi elle sert. Elle gère les vulnérabilités (SOC-VULN) détectées par les scanners (Tenable, Qualys, Nessus) : de la découverte à la remédiation.

Quand l’utiliser. Pour prioriser et suivre la correction des vulnérabilités.

Comment l’ouvrir. Depuis la page d’accueil du Security Hub, encadré Vulnérabilités.

Ce qu’elle affiche. Le cockpit des vulnérabilités avec le score CVSS, l’hôte/le CI concerné, la source et l’état de remédiation ; quand il n’y a aucun constat ouvert, il affiche l’état « Aucun constat ouvert ».

Comment l’utiliser. Vous examinez les vulnérabilités par sévérité, planifiez la remédiation, les liez aux changes et aux actifs.

Ce qui se passe ensuite. La remédiation met à jour l’état ; les vulnérabilités critiques peuvent générer des incidents.

Remarques. Alimentée par les scanners via ingestion.

PAM Hub

À quoi elle sert. C’est le point d’entrée du Privileged Access Management : pilotage des accès, comptes, identifiants, sessions et de la conformité en matière de privilèges.

Quand l’utiliser. Pour gérer et surveiller les accès privilégiés aux systèmes sensibles.

Comment l’ouvrir. Depuis la page d’accueil du Security Hub, encadré PAM.

Ce qu’elle affiche. Les encadrés vers les pages PAM : Accès, Comptes, Vault, Sessions, Conformité.

Comment l’utiliser. Vous choisissez la zone PAM ; les fonctions sont décrites dans les fiches suivantes.

Ce qui se passe ensuite. Les opérations PAM sont intégralement tracées dans l’audit.

Remarques. Le PAM est réservé aux rôles de sécurité (SOC/CISO/admin PAM).

PAM Accès JIT/JEA

À quoi elle sert. Elle gère les demandes d’accès privilégié selon le modèle JIT/JEA (Just-In-Time / Just-Enough-Access) : octroi limité dans le temps et minimal.

Quand l’utiliser. Quand un utilisateur a besoin d’un accès privilégié temporaire à un système.

Comment l’ouvrir. Depuis le PAM Hub, encadré Accès.

Ce qu’elle affiche et comment l’utiliser. Les demandes d’accès (SOC-ACCESS-REQ) avec approbation (CISO/SOC) et échéance ; vous accordez l’accès pour la fenêtre nécessaire et le révoquez à l’échéance.

Ce qui se passe ensuite. L’accès accordé est limité dans le temps et révoqué automatiquement ; chaque octroi est tracé.

Remarques. Le modèle JIT/JEA réduit au minimum les privilèges permanents.

PAM Comptes privilégiés

À quoi elle sert. Elle gère l’inventaire des comptes privilégiés (administrateurs, comptes de service) et leur cycle de vie.

Quand l’utiliser. Pour recenser, faire tourner et désactiver les comptes privilégiés.

Comment l’ouvrir. Depuis le PAM Hub, encadré Comptes.

Ce qu’elle affiche et comment l’utiliser. La liste des comptes privilégiés avec propriétaire, système et état ; les actions de rotation/désactivation.

Ce qui se passe ensuite. Les modifications sont tracées ; les comptes non conformes apparaissent dans la Conformité PAM (PAM Conformité).

Remarques. Lié au Vault (PAM Vault des identifiants).

PAM Vault des identifiants

À quoi elle sert. C’est le coffre-fort des identifiants privilégiés : garde sécurisée et distribution contrôlée des secrets.

Quand l’utiliser. Pour conserver et récupérer de manière sécurisée les identifiants privilégiés.

Comment l’ouvrir. Depuis le PAM Hub, encadré Vault.

Ce qu’elle affiche et comment l’utiliser. Les éléments conservés dans le vault, avec accès contrôlé ; la récupération est soumise à autorisation et à traçage.

Ce qui se passe ensuite. Chaque accès au secret est enregistré dans l’audit.

Remarques. Les identifiants ne sont jamais exposés en clair dans l’interface au-delà du nécessaire ; la saisie des secrets incombe à l’utilisateur.

PAM Sessions privilégiées

À quoi elle sert. Elle gère et enregistre les sessions privilégiées vers les systèmes.

Quand l’utiliser. Pour lancer/surveiller une session privilégiée et en consulter l’enregistrement.

Comment l’ouvrir. Depuis le PAM Hub, encadré Sessions.

Ce qu’elle affiche et comment l’utiliser. Les sessions actives et passées avec utilisateur, système, durée et enregistrement ; de là, vous pouvez lancer une session (également via la Console PAM, Console PAM (accès zero-knowledge)).

Ce qui se passe ensuite. Les sessions sont enregistrées pour l’audit et la revue.

Remarques. Prend en charge le modèle zero-knowledge (Console PAM (accès zero-knowledge)).

PAM Conformité

À quoi elle sert. Elle vérifie la conformité des accès et des comptes privilégiés par rapport aux politiques.

Quand l’utiliser. Pour les revues périodiques de conformité PAM.

Comment l’ouvrir. Depuis le PAM Hub, encadré Conformité.

Ce qu’elle affiche et comment l’utiliser. L’état de conformité (accès excessifs, comptes orphelins, rotations manquées) et les actions correctives.

Ce qui se passe ensuite. Les non-conformités alimentent les constats et les actions de remédiation.

Remarques. Liée à GRC/audit.

Console PAM (accès zero-knowledge)

À quoi elle sert. Elle ouvre une console privilégiée zero-knowledge vers un CI/système, sans exposer les identifiants à l’opérateur.

Quand l’utiliser. Quand vous devez intervenir sur un système pendant le traitement d’un ticket (ex. incident sur un hôte).

Comment l’ouvrir. Depuis le bouton Console PAM de l’Éditeur de ticket (Éditeur de ticket) quand le ticket concerne un CI, ou depuis la page Sessions PAM.

Ce qu’elle affiche et comment l’utiliser. La console de session vers le système, médiée par le PAM : les identifiants sont injectés depuis le vault sans être révélés.

Ce qui se passe ensuite. La session est enregistrée (PAM Sessions privilégiées) et tracée dans l’audit.

Remarques. Modèle zero-knowledge : l’opérateur travaille sans connaître le secret.

SecOps Admin

À quoi elle sert. C’est la configuration de l’automatisation de la sécurité (SOAR) et des politiques de réponse.

Quand l’utiliser. Pour configurer le scoring du risque, gérer les approbations des actions de remédiation et leur réversibilité.

Comment l’ouvrir. Depuis la page d’accueil du Security Hub, encadré SecOps Admin.

Ce qu’elle affiche. Trois onglets :

1. Risk Scoring — Weights Configuration — les pondérations et les critères du score de risque.
2. Approvals Queue — la file des approbations des actions de remédiation.
3. Rollback Stack — la pile des actions réversibles (pour annuler une remédiation).

Comment l’utiliser. Vous définissez les pondérations du scoring ; vous approuvez/rejetez les actions en file ; vous gérez le rollback des actions exécutées.

Ce qui se passe ensuite. Les actions approuvées sont exécutées par les playbooks SOAR ; le rollback annule les effets lorsque c’est pris en charge.

Remarques. La configuration des outils de sécurité (Azure Tenant/Client ID/Secret, Type, Endpoint URL) a été intégrée à l’Integration Center (Integration Hub et import). Les actions sensibles (ex. execute_script) sont protégées par quatre barrières et par une gestion rigoureuse des secrets.

IT Security Report Center

À quoi elle sert. C’est le reporting de sécurité : posture, vulnérabilités par sévérité, incidents, conformité.

Quand l’utiliser. Pour produire et consulter les rapports de sécurité.

Comment l’ouvrir. Depuis la page d’accueil du Security Hub, encadré IT Security Report Center.

Ce qu’elle affiche et comment l’utiliser. Le catalogue des rapports de sécurité avec périmètre limité au domaine SOC, aperçu, planification et export.

Ce qui se passe ensuite. Les rapports peuvent être planifiés et exportés.

Remarques. Périmètre limité au domaine sécurité.

Agent Monitoring

À quoi elle sert. Elle supervise les agents/endpoints de sécurité installés sur les systèmes.

Quand l’utiliser. Pour vérifier la couverture et l’état des agents (EDR/supervision).

Comment l’ouvrir. Depuis la page d’accueil du Security Hub / la zone SecOps.

Ce qu’elle affiche et comment l’utiliser. L’état des agents par hôte (version, connectivité, santé) ; de là, vous repérez les endpoints non couverts ou en mauvaise santé.

Ce qui se passe ensuite. Les anomalies peuvent générer des alertes/tickets.

Remarques. Complémentaire de l’Attack Surface Management (XDR Ops).

Pages liées au hub (décrites ailleurs)

Depuis la page d’accueil Sécurité, vous accédez aussi à des pages traitées dans leurs pages respectives : GRC (GRC, risque, conformité et juridique), ICC (Référentiel Projets / Clients), CMDB avec focus sécurité (Asset Management et CMDB), ITOM avec focus sécurité (NOC, Observability et ITOM), Agent Control Tower (Hub IA et agents), Operations Cockpit et les vues Service Director SOC/XDR/GRC/ICC (Cockpits et vues de direction).